Fast jede Meldung über eine Sicherheitslücke endet gleich: aktualisieren Sie. Diese hier nicht — denn sie betrifft eine Software, die auf unseren Servern nicht läuft. Sie ist trotzdem lehrreich, weil sie eine Ebene beleuchtet, die Kunden normalerweise nie zu Gesicht bekommen.
Worum es geht
cPanel/WHM ist eine der weltweit verbreitetsten Verwaltungsoberflächen im Webhosting. Ende August wurde darin eine Lücke geschlossen, über die sich Programmcode mit Root-Rechten ausführen lässt — also mit den höchsten Rechten, die ein Server kennt. Wer sie hat, besitzt nicht eine Website, sondern die Maschine, auf der alle Websites dieses Servers liegen.
Der Fehler steckte in der Verwaltung geparkter Domains und Zusatzdomains: Dort liessen sich Dateien an eine Stelle schreiben, an die sie nicht gehören.
Zwei Dinge gehören der Ehrlichkeit halber dazu. Erstens muss ein Angreifer angemeldet sein, es ist also kein Angriff aus dem Nichts. Zweitens sind bislang keine Angriffe beobachtet worden. Der Hersteller hat Korrekturen für alle gepflegten Versionsreihen veröffentlicht.
Warum wir nicht betroffen sind
Unsere Server laufen unter Plesk, nicht unter cPanel. Wir haben das für diesen Beitrag nachgesehen statt es zu behaupten: Auf unserem Produktionssystem läuft Plesk Obsidian in der Fassung 18.0.80.5, ein cPanel-Verzeichnis existiert dort nicht.
Das ist kein Verdienst und keine Weitsicht — es ist eine Entscheidung, die vor Jahren aus ganz anderen Gründen fiel. Diesmal fällt sie zu unseren Gunsten aus. Beim nächsten Mal kann es eine Plesk-Lücke sein, und dann stehen wir auf der anderen Seite. Genau deshalb ist «wir setzen X nicht ein» keine Sicherheitsstrategie.
Die Frage, die sich daraus ergibt
Für Sie als Hosting-Kunde ist die eigentliche Erkenntnis eine andere: Es gibt eine Software-Ebene unterhalb Ihrer Website, die Sie nie sehen, die Sie nicht beeinflussen können — und über die trotzdem Ihre Website verloren gehen kann.
Zwei Fragen, die man seinem Anbieter stellen darf, ohne technisch zu sein:
Welche Verwaltungssoftware setzen Sie ein, und wer spielt dort die Sicherheitsupdates ein? Die Antwort sollte konkret sein und einen Namen enthalten, keine Formel wie «unsere Systeme werden laufend gewartet».
Wie erfahre ich, wenn etwas passiert ist? Nicht ob — wie. Ein Anbieter, der auf diese Frage keine Antwort hat, hat auch kein Verfahren dafür.
Es ist die gleiche Logik wie beim Serverstandort: Man muss nicht jedes technische Detail verstehen, um zu erkennen, ob jemand eine Antwort parat hat oder improvisiert.
Was das für uns heisst
Wir spielen Updates an dieser Ebene selbst ein — nicht der Kunde, und niemand muss uns darum bitten. Wenn eine Lücke uns tatsächlich betrifft, sagen wir es, statt zu hoffen, dass es niemand merkt. Die Sicherungen liegen ausserhalb des Servers, damit sie auch dann noch da sind, wenn die Maschine selbst kompromittiert wäre.
Wie ein Vorfall auf Kundenseite abläuft und wer dann was melden muss, steht in unserem Beitrag zur Meldepflicht nach einem Hack. Und wenn Sie für den Ernstfall vorbereitet sein wollen, ohne selbst etwas aufzubauen: Der Bund stellt dafür eine ausfüllbare Vorlage bereit.